Veille sécuritéCMS & e-commerce
P3Élevée
Un utilisateur authentifié du panneau de contrôle peut contourner le bac à sable Twig via le filtre `column`, récupérer la clé de sécurité puis atteindre l’exécution de fonctions PHP arbitraires. Les versions concernées sont Craft CMS 4.x avant 4.18.9 et 5.x avant 5.11.2 ; mettre à niveau vers une version corrigée.
Craft CMS
IdentifiantCVE-2026-115938
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif4.18.9 et 5.11.2
Source : Fiche NVD CVE-2026-115938
Analyse technique
Le filtre `column` délègue la recherche de propriétés à Yii ArrayHelper, hors de la politique de sécurité Twig. La fuite de la clé permet ensuite de fabriquer des paramètres signés utilisés dans un contexte Twig non sandboxé.
Impact, versions et correctif
Événement datéLa fiche NVD fournie indique une publication le 2026-10-23 à 22:16:59.597Z, soit le 2026-10-24 à 00:16:59+02:00, dans la période demandée. L’avis GitHub du projet confirme la vulnérabilité et les versions corrigées.
ImpactUn utilisateur authentifié du panneau de contrôle peut accéder à la clé de sécurité de l’application et exécuter des fonctions PHP arbitraires avec les privilèges du serveur web.
Versions affectées>= 4.0.0, < 4.18.9 ; >= 5.0.0, < 5.11.2
Version corrigée4.18.9 et 5.11.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.7
EPSS0,68% · percentile 52,0%
Publication2026-10-24T00:16:59+02:00
Mise à jour2026-10-26T18:34:17.050Z
Action recommandée
Mettre à niveau Craft CMS vers 4.18.9 ou 5.11.2, selon la branche utilisée.
Sources
Priorisation DFS : P3 · 1 source(s).